Certificate Management Service:Instal Sertifikat SSL pada server Tomcat (Windows)

Requirements

Step 1: Prepare the SSL certificate

1. Buka halaman SSL Certificate Management. Pada kolom Actions sertifikat target, klik More untuk membuka halaman detail sertifikat. Pada tab Download, unduh sertifikat untuk Server Type Tomcat.

2. Ekstrak paket sertifikat yang diunduh. Paket tersebut berisi file sertifikat (.pfx atau .jks) dan file kata sandi (.txt).

   Catatan

   Jika Anda menggunakan tool seperti OpenSSL atau Keytool untuk menghasilkan Certificate Signing Request (CSR) saat mengajukan sertifikat, kunci privat hanya disimpan di mesin lokal Anda dan tidak termasuk dalam paket sertifikat yang diunduh. Jika kunci privat hilang, sertifikat menjadi tidak dapat digunakan. Anda harus membeli sertifikat komersial lagi dan menghasilkan CSR serta kunci privat baru.

3. Unggah file sertifikat dan file kata sandi ke direktori aman di server Anda. Dalam topik ini, jalur contohnya adalah D:\cert.

   Catatan

   Langkah-langkah berikut menggunakan Instance ECS Alibaba Cloud sebagai contoh. Untuk jenis server lain, rujuk dokumentasi resminya.

   1. Buka ECS console - Instances. Di pojok kiri atas, pilih wilayah dan kelompok sumber daya untuk sumber daya target.

   2. Buka halaman detail instans target. Klik Connect dan pilih Workbench. Ikuti petunjuk di layar untuk login ke desktop server.

   3. Di pojok kiri bawah desktop server, klik menu Enabling. Temukan dan buka This PC, Computer, atau File Explorer.

   4. Di bawah Redirected drives and folders, klik ganda workbench on ***. Seret file sertifikat dari mesin lokal Anda ke direktori ini, lalu klik kanan folder tersebut dan pilih Refresh.

      

   5. Salin file ke direktori D:\cert.

      Penting

      Saat Anda memutuskan koneksi, menyambungkan ulang, atau logout dari instans, Workbench secara otomatis menghapus semua file yang diunggah di direktori Redirected drives and folders untuk menghemat ruang disk. Direktori ini hanya dimaksudkan untuk transfer file. Jangan gunakan untuk menyimpan file.

Step 2: Configure the system and network environment

1. Buka port 443 di security group.

   Penting

   Jika server Anda diterapkan di platform cloud, pastikan security group-nya mengizinkan inbound traffic pada port TCP 443. Jika tidak, layanan tidak dapat diakses dari internet. Operasi berikut menggunakan Instance ECS Alibaba Cloud sebagai contoh. Untuk platform cloud lain, lihat dokumentasi resminya.

   1. Buka halaman ECS Instances, pilih wilayah tempat Instance ECS target berada, lalu klik nama instans untuk membuka halaman detail.

   2. Klik Security Groups > Inbound Rules dan pastikan ada aturan dengan Action diatur ke Allow, Protocol Type diatur ke TCP, Port Range diatur ke HTTPS(443), dan Authorization Object diatur ke Anywhere (0.0.0.0/0).

   3. Jika aturan tersebut tidak ada, tambahkan ke security group target. Untuk informasi lebih lanjut, lihat Add a security group rule.

2. Buka port 443 di firewall server.

   1. Login ke server Windows Anda, klik menu Start, lalu buka Control Panel.

   2. Buka System and Security > Windows Defender Firewall > Check firewall status.

   3. Jika firewall dimatikan seperti yang ditunjukkan pada gambar berikut, tidak diperlukan tindakan lebih lanjut.

   4. Jika firewall diaktifkan, ikuti langkah-langkah berikut untuk mengizinkan traffic HTTPS.

      1. Di panel navigasi kiri, klik Advanced settings > Inbound Rules dan periksa apakah ada aturan masuk dengan Protocol TCP, Local Port 443, dan Action Block.

      2. Jika aturan tersebut ada, klik kanan aturan tersebut, pilih Properties, lalu pada tab General, ubah aksi menjadi Allow the connection. Kemudian, klik Apply.

Step 3: Deploy the certificate on Tomcat

1. Edit file konfigurasi Tomcat server.xml untuk memperbarui pengaturan terkait sertifikat. Jalur contohnya adalah C:\apache-tomcat-9.0.105\conf\server.xml.

   PFX example

   <Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
              maxThreads="150" SSLEnabled="true"
              maxParameterCount="1000">
       <SSLHostConfig>
           <!-- Ganti D:/cert/example.com.pfx dengan jalur aktual ke file sertifikat Anda. Ganti your_certificate_password dengan isi file pfx-password.txt. -->
           <Certificate certificateKeystoreFile="D:/cert/example.com.pfx"
                        certificateKeystorePassword="your_certificate_password"
                        certificateKeystoreType="PKCS12"
                        type="RSA"/>
       </SSLHostConfig>
   </Connector>

   JKS example

   <Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
              maxThreads="150" SSLEnabled="true"
              maxParameterCount="1000">
       <SSLHostConfig>
           <!-- Ganti D:/cert/example.com.jks dengan jalur aktual ke file sertifikat Anda. Ganti your_certificate_password dengan isi file jks-password.txt. -->
           <Certificate certificateKeystoreFile="D:/cert/example.com.jks"
                        certificateKeystorePassword="your_certificate_password"
                        certificateKeystoreType="JKS"
                        type="RSA" />
       </SSLHostConfig>
   </Connector>

2. Optional: Konfigurasikan pengalihan HTTP ke HTTPS secara otomatis.

   1. Edit file konfigurasi Tomcat server.xml. Temukan konektor HTTP (Tomcat mendengarkan pada port 8080 secara default) dan atur atribut redirectPort ke 443. Jika atribut tersebut tidak ada, tambahkan.

      <!-- Tomcat mendengarkan pada port 8080 secara default. Ubah ini ke port HTTP aktual yang Anda gunakan. -->
      <Connector port="80" protocol="HTTP/1.1"
                 connectionTimeout="20000"
                 redirectPort="443"
                 maxParameterCount="1000"
                 />

   2. Tambahkan konfigurasi berikut ke akhir file web.xml.

      <security-constraint>
          <web-resource-collection>
              <web-resource-name>SSL</web-resource-name>
              <url-pattern>/*</url-pattern>
          </web-resource-collection>
          <user-data-constraint>
              <transport-guarantee>CONFIDENTIAL</transport-guarantee>
          </user-data-constraint>
      </security-constraint>

      Catatan

      Setelah Anda menyimpan konfigurasi ini, server secara otomatis mengalihkan semua permintaan HTTP ke HTTPS.

3. Setelah menyimpan perubahan konfigurasi, navigasi ke direktori bin instalasi Tomcat Anda dan restart server agar pengaturan SSL berlaku.

   • Hentikan server Tomcat.

     shutdown.bat

   • Jalankan server Tomcat.

     startup.bat

Step 4: Verify the deployment

Deploying to production

Saat menerapkan aplikasi di lingkungan produksi, ikuti praktik terbaik berikut untuk meningkatkan keamanan, stabilitas, dan kemudahan pemeliharaan:

• Jalankan aplikasi sebagai pengguna non-administrator:

  Buat pengguna sistem khusus dengan hak istimewa rendah untuk aplikasi. Jangan menjalankan aplikasi menggunakan akun yang memiliki izin administrator.

  Catatan

  Kami merekomendasikan Anda menggunakan gateway-level SSL configuration. Ini melibatkan penerapan sertifikat pada reverse proxy, seperti instans SLB atau Nginx. Reverse proxy mengakhiri traffic HTTPS lalu meneruskan traffic HTTP yang telah didekripsi ke aplikasi backend.

• Externalize credential management:

  Jangan hard-code informasi sensitif, seperti password, di kode atau file konfigurasi Anda. Gunakan Variabel lingkungan, vault, atau Key Management Service yang disediakan penyedia cloud Anda untuk menyuntikkan kredensial.

• Enforce HTTP-to-HTTPS redirection:

  Pastikan semua traffic yang mengakses situs web Anda melalui HTTP dialihkan secara otomatis ke HTTPS. Hal ini membantu mencegah serangan man-in-the-middle (MITM).

• Configure modern TLS protocols:

  Dalam konfigurasi server Anda, nonaktifkan protokol usang dan tidak aman, seperti SSLv3, TLS 1.0, dan TLS 1.1. Aktifkan hanya TLS 1.2 dan TLS 1.3.

• Monitor certificates and automate renewal:

  Setelah sertifikat diterapkan, kami merekomendasikan Anda mengaktifkan pemantauan nama domain. Alibaba Cloud secara otomatis memeriksa periode validitas sertifikat dan mengirimkan pengingat sebelum sertifikat kedaluwarsa. Hal ini membantu Anda memperbarui sertifikat tepat waktu untuk mencegah gangguan layanan. Untuk informasi lebih lanjut, lihat Purchase and enable public domain name monitoring.

Certificate not working or HTTPS inaccessible

Masalah ini umumnya disebabkan oleh hal-hal berikut:

• Port 443 diblokir oleh security group atau firewall server. Untuk informasi lebih lanjut, lihat Configure the system and network environment.

• Nama domain yang Anda akses tidak termasuk dalam Bound Domains sertifikat. Untuk informasi lebih lanjut, lihat Domain name match.

• Layanan Tomcat tidak di-restart setelah file konfigurasi dimodifikasi. Untuk informasi lebih lanjut, lihat Stop and restart the Tomcat service.

• File sertifikat tidak diganti dengan benar, atau jalur sertifikat dalam konfigurasi Tomcat salah. Verifikasi bahwa file konfigurasi dan file sertifikat terbaru dan valid.

• Nama domain diintegrasikan dengan layanan cloud seperti CDN, SLB, atau WAF, tetapi sertifikat tidak diinstal pada layanan yang sesuai. Untuk informasi lebih lanjut, lihat Certificate deployment location when traffic passes through multiple cloud services.

• Nama domain di-resolve ke beberapa server, tetapi sertifikat hanya diinstal pada sebagian server. Anda harus menginstal sertifikat pada setiap server.

Update an SSL certificate in Tomcat

Backup file sertifikat yang ada (.pfx atau .jks dan file .txt) di server Anda. Kemudian, login ke konsol Layanan Manajemen Sertifikat, unduh file sertifikat baru, dan unggah ke server untuk menimpa file yang ada. Pastikan jalur dan nama file tetap sama. Terakhir, restart layanan Tomcat agar sertifikat baru berlaku.

After I restart Tomcat, the service fails to start and the log (catalina.log) shows a LifecycleException or Keystore was tampered with, or password was incorrect error.

Error ini biasanya terjadi karena salah satu alasan berikut:

• Kata sandi salah:

  Nilai certificateKeystorePassword dalam server.xml tidak sesuai dengan kata sandi sertifikat aktual. Verifikasi kata sandi dengan cermat. Perhatikan bahwa ini case-sensitive.

• Jalur sertifikat salah:

  Jalur yang ditentukan dalam certificateKeystoreFile salah, sehingga Tomcat tidak dapat menemukan file sertifikat. Periksa jalur tersebut dari kesalahan pengetikan. Kami merekomendasikan menggunakan jalur relatif terhadap direktori conf/.

• Jenis keystore tidak sesuai:

  certificateKeystoreType tidak sesuai dengan format file sertifikat aktual. Gunakan PKCS12 untuk file PFX dan JKS untuk file JKS.

• Karakter khusus dalam kata sandi:

  Kata sandi berisi karakter khusus XML seperti &, <, atau > yang tidak di-escape dengan benar dalam file server.xml.

Automatic HTTP to HTTPS redirection

Ikuti petunjuk dalam bagian Set up automatic redirection from HTTP to HTTPS. Setelah memodifikasi file konfigurasi, restart layanan.